Neue Schwachstellen – verständlich aufbereitet

Langflow Langflow

Recherche und Übersetzung laufen – in Kürze hier.

IBM Langflow OSS: Code-Injection durch Codegenerierung ermöglicht Remote Code Execution

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.8 enthält eine Code-Injection-Schwachstelle (CWE-94) bei der Codegenerierung. Ein entfernter Angreifer kann dadurch beliebigen Code auf dem Server ausführen; IBM vergibt einen CVSS-3.1-Basiswert von 9.8. Der offizielle Eintrag nennt keine Authentifizierung als Voraussetzung, eine Sekundärquelle beschreibt den Zugriff jedoch ohne Anmeldung, weshalb alle Instanzen bis zur Prüfung als gefährdet gelten. VulDB stuft die Schwachstelle niedriger ein (7.3), und der CVE-Eintrag wurde erst kürzlich veröffentlicht.

IBM · Langflow OSS

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Langflow OSS: Code-Injection ermöglicht Remote Code Execution

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.4 enthält eine Code-Injection-Schwachstelle (CWE-94), mit der ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen beliebigen Code auf dem Server ausführen kann. Es ist keine Benutzerinteraktion nötig. Der Code läuft im Langflow-Prozess, wodurch Workflow-Daten, Zugangsdaten und angebundene Model-, Datenbank- oder Tool-Dienste offengelegt werden können. Die Quellen nennen je nach Bewertung des Scope einen CVSS-Wert von 8.8 oder 9.9.

IBM · Langflow OSS

IBM Langflow OSS: Code-Injection über eval/exec ermöglicht Remote Code Execution

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.4 enthält eine Code-Injection-Schwachstelle (CWE-94) im Code-Pfad von eval/exec. Ein authentifizierter Angreifer mit niedrigen Berechtigungen kann Code einschleusen, der auf dem Server ausgeführt wird, was gemäss Bewertung hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hat. Es ist keine Benutzerinteraktion nötig, der Angreifer benötigt jedoch ein gültiges Konto auf der Langflow-Instanz.

IBM · Langflow OSS

IBM Langflow OSS: Fehlende Autorisierung erlaubt Remote Code Execution

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.4 enthält eine fehlende Autorisierung (CWE-862). Ein Angreifer mit einem gültigen Konto mit niedrigen Rechten kann aus der Ferne beliebigen Code auf dem Server ausführen. Der IBM-Eintrag nennt die betroffene Funktion nicht. Die Codeausführung würde mit den Rechten des Langflow-Prozesses erfolgen, der typischerweise LLM-API-Schlüssel und Flow-Daten enthält.

IBM · Langflow OSS

Langflow OSS: OS-Command-Injection ermöglicht Remote Code Execution

IBM Langflow OSS in den Versionen 1.0.0 bis 1.12.4 enthält eine OS-Command-Injection-Schwachstelle (CWE-78). Ein authentifizierter Angreifer aus dem Netzwerk kann Betriebssystembefehle einschleusen und beliebigen Code auf dem Server ausführen, mit vollen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für die Ausnutzung ist ein gültiges Benutzerkonto auf der Langflow-Instanz erforderlich.

IBM · Langflow OSS

USP ZX Spectrum Emulator: Pfad-Traversierung erlaubt Überschreiben von Dateien

Die Android-App USP (Paket app.usp) enthält eine exportierte Activity, die Content-URIs von beliebigen Apps annimmt, ohne den Aufrufer zu prüfen. Eine lokal installierte App ohne Berechtigungen kann bewirken, dass sie vom Angreifer gelieferte Bytes in einen Pfad ausserhalb des vorgesehenen Verzeichnisses im privaten Speicher der App schreibt und bestehende Dateien überschreibt. Die CVE beschreibt eine Screenshot-App namens USP Ultimate Screenshot Painter, die verlinkte F-Droid-Seite beschreibt jedoch einen ZX-Spectrum-Emulator, daher muss die Produktidentität bestätigt werden. Codeausführung oder Datenoffenlegung wird nicht behauptet.

Oasis Feng Island: Unsichere Export von Activities erlaubt Änderung des Freeze-Status

Island mit versionCode 51801 stellt eine Activity (FeatureActionActivity) ohne ausreichende Zugriffskontrolle bereit. Der NVD-Eintrag beschreibt ein durch Angreifer ausgelöstes Einfrieren, das zu einer Denial-of-Service-Situation führt. Das verlinkte GitHub-Advisory beschreibt eine gravierendere Auswirkung: Eine lokal installierte App ohne Berechtigungen kann ohne Benutzerinteraktion den Freeze-Status einer App aufheben und diese im verwalteten Profil starten. Laut Advisory hat der Hersteller noch keinen Fix veröffentlicht, und die Schweregrad-Bewertung durch NVD ist noch zurückgestellt.

Oasis Feng · Island

Recherche und Übersetzung laufen – in Kürze hier.

NetGuard: Exportierte Activity erlaubt unberechtigte Deaktivierung der Firewall

NetGuard, eine Firewall-App für Android ohne Root-Berechtigung, enthält unsichere Berechtigungen in der exportierten Activity ActivityMain in Version 2026080101 (versionName 2.337). Eine auf demselben Gerät installierte App ohne Android-Berechtigungen kann ein boolesches Extra mit dem Namen "Approve" senden und die Firewall ohne Benutzerinteraktion ausschalten; die Änderung bleibt nach einem Force-Stop und einem Neustart erhalten. Der CVE-Eintrag beschreibt einen erzwungenen Gerätereset oder eine Denial-of-Service-Situation, während das Advisory die unberechtigte Deaktivierung der Firewall und den Abbruch des VPN-Dienstes meldet.

Marcel Bokhorst (FairCode BV) · NetGuard

Recherche und Übersetzung laufen – in Kürze hier.

NoNonsense Notes: Unsichere Berechtigungen erlauben unberechtigte Notizänderungen

NoNonsense Notes für Android, Version 72600 (7.2.6), exportiert zwei Broadcast-Receiver, die eine Notiz-ID vom Aufrufer entgegennehmen, ohne den Absender zu prüfen. Jede auf demselben Gerät installierte App kann ohne Laufzeitberechtigungen andere Notizen als erledigt oder nicht erledigt markieren. Laut Advisory ist nur ein Schreibzugriff möglich, ein Lesezugriff besteht nicht, und die Aktionen zum Löschen und Verschieben von Erinnerungen wurden nicht getestet.

NoNonsenseApps · NoNonsense Notes

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Leafpad: Exportierte Android-Komponente erlaubt Schreiben von Notizen ohne Berechtigung

Leafpad für Android in Version 1.21 exportiert eine Activity, die keine Berechtigung erfordert. Jede auf demselben Gerät installierte App kann Text an diese Activity senden, und dieser Text wird ohne Benutzerinteraktion als neue Notiz in der Datenbank der App gespeichert. Der Melder hat dies mit einer Test-App demonstriert, und die eingeschleusten Notizen blieben nach einem Neustart erhalten. Der NVD-Wert von 9.1 setzt einen Netzwerkangriff voraus, während eine andere Quelle den Angriff als lokal einstuft; das tatsächliche Risiko ist daher umstritten.

Marcus Radisch · Leafpad

Recherche und Übersetzung laufen – in Kürze hier.

BulkShare Android-App: Unsachgemässer Export einer Activity erlaubt Injektion in Link-Warteschlange

BulkShare 2.1.0 für Android exportiert die Komponente ShareActivity ohne Berechtigungsschutz, sodass jede auf demselben Gerät installierte App sie ohne Benutzerinteraktion aufrufen und beliebigen Text in die Link-Warteschlange der App einfügen kann. Die eingefügten Links können später vom Benutzer über die App weitergegeben werden, was einen manipulierten Datenfluss ermöglicht. Der NVD-Status ist Deferred und der CVSS-Wert ist nicht bestätigt; Produktname und Versionszuordnung im CVE widersprechen den Angaben des Herstellers und sind nicht verifiziert.

Alex Gherghisan · BulkShare

YubiClip XOR: Unsichere Komponenten-Freigabe in Android erlaubt Überschreiben der Zwischenablage

YubiClip XOR Version 1.0.1 (versionCode 10003) für Android enthält eine exportierte Activity ohne Berechtigungsprüfung. Jede auf demselben Gerät installierte App kann diese Activity starten und die Zwischenablage des Systems mit einer vom Angreifer gewählten Zeichenkette überschreiben. Die Zwischenablage-Funktion ist standardmässig aktiviert, und eine Bestätigung durch den Benutzer ist nicht erforderlich.

craftxbox · YubiClip XOR

Recherche und Übersetzung laufen – in Kürze hier.

ShoppingList: Exportierte Android-Aktivität erlaubt unautorisierten Listenimport

Version 11.0 (versionCode 11) der Android-App ShoppingList exportiert eine Importaktivität ohne Berechtigungsschutz. Jede auf demselben Gerät installierte App kann eine manipulierte Einkaufsliste an diese Aktivität senden, die ohne Bestätigung in die lokale Datenbank geschrieben und dem Benutzer angezeigt wird. Der Angreifer kann bestehende Listen weder lesen noch Code ausführen, und der Angriff setzt eine lokal installierte App voraus.

wbpxre150 · ShoppingList

Recherche und Übersetzung laufen – in Kürze hier.

Share to Clipboard: Unzureichend exportierte Android-Activity erlaubt Überschreiben der Zwischenablage

Share to Clipboard für Android, Version 1.14.1 (versionCode 32), exportiert eine Activity, die nicht durch eine Berechtigung geschützt ist. Jede auf demselben Gerät installierte App kann sie starten und den Inhalt der System-Zwischenablage ohne Bestätigung stillschweigend durch eigenen Text ersetzen. Der Angreifer kann die Zwischenablage nicht lesen, und eine Codeausführung oder Rechteausweitung wird nicht behauptet. Das Risiko besteht darin, dass ein Wert, den ein Benutzer später einfügt, etwa ein Passwort oder Kundendaten, ersetzt wurde.

Tengu · Share to Clipboard

WikiAndPad alpha/beta: Unsachgemässer Export einer Android-Anwendungskomponente

WikiAndPad alpha/beta v0.2alpha03 (versionCode 200300) für Android exportiert eine headless Activity ohne Berechtigungs- oder Aufrufprüfung. Jede auf demselben Gerät installierte App kann Text an den Snippet-Speicher der App anhängen und laut Advisory die gespeicherten Snippets über die eigene Listenansicht der App wieder auslesen. Der CVE-Eintrag beschreibt den Export von Daten durch einen nicht autorisierten Angreifer ohne Benutzerinteraktion. Der NVD-Wert 7.5 widerspricht der Bewertung von VulDB, und der im Advisory beschriebene Mechanismus wurde nicht unabhängig bestätigt.

Michael Butscher · WikiAndPad alpha/beta